Separera ett publicerat ramverk från ett byråresultat
Nya Zeelands Secure Government Email-ramverk är ett konkret statligt genomförandeprogram, inte ett mått på om varje byrå har följt. Den digitala regeringens sida, uppdaterad 9 september 2026, beskriver implementeringen senast oktober 2026 och täcker oklassificerad e-post och material som klassificeras som IN-CONFIDENCE eller lägre. Det lämnar certifiering och ackreditering hos varje byrå. Vid forskningsdatumet den 8 november 2026 har den angivna utbyggnadsmånaden passerat; sidan ensam avslöjar inte någon byrås slutförande eller undantagsstatus. SGE ramverk.
Registrera byrå, tjänstegräns, informationsklassificering och policymyndighet innan du tilldelar ett genomföranderesultat. Behandla ramverket som vägledning för statliga program med angivna krav, inte en universell lag för alla Nya Zeelands organisationer. En privat leverantör behöver identifiera sitt avtals- och serviceansvar. Ett statligt organ behöver sina egna tillämpliga instruktioner och acceptansmyndigheter. Ingen av relationerna kan lösas genom att hitta en DMARC -post i offentlig DNS .
Kartlägg de publicerade kontrollmålen
Ramverket kräver autentiserad sändning, inkommande DMARC bearbetning, rapportering, transportskydd och myndighetsspecifika kontroller av dataförlust. Dess checklista inkluderar SPF slutar med hardfail, DKIM signering av utgående meddelanden och DMARC avvisningspolicy. Den citerar NZISM 15.2.36.C.04 för regelbunden granskning av rapporter. Behåll det citatet som ramverkets angivna grund tills en granskare kontrollerar den exakta aktuella manualklausulen; representerar inte en sekundär hänvisning som en genomförd manuell granskning. Publicerad SGE checklista.
NZISM-webbplatsen tillhandahåller en allmän e-postsäkerhetsförklaring, och NCSC publicerade ett version 3.9 releasemeddelande den 9 maj 2025. Handbokens stora onlinedokument öppnades initialt under forskning, men efterföljande klausuler och versionsbegäranden tog timeout. Följaktligen gör den här artikeln inte anspråk på att ha återvaliderat varje aktuell klausul, versionsanteckning eller byråundantag. Den saknade detaljerade verifieringen är ett explicit releaseberoende. Vanliga frågor om NZISM-e-post och version 3.9 meddelande.
Kopiera inte protokollfel till produktionen
Statlig myndighet och teknisk korrekthet är olika kontroller. Den hämtade SGE-texten innehåller uttalanden om att SPF softfail tillåter DMARC att passera, och att frånvarande SPF och DKIM -resultat kan passera DMARC med lägre anseende. Den visar också ett exempel på en icke-sändande domän som innehåller adkim-s. Dessa förklaringar och syntax får inte kopieras som en validerad implementering. Bevara källfrågan i bedömningen och be de ansvariga tekniska och policyspecialisterna att stämma av den.
Under det nuvarande kärnprotokollet kräver DMARC framgång en godkänd, anpassad autentiseringsväg. SPF softfail är inte SPF pass; en inriktad passning DKIM signatur kan självständigt ge den framgångsrika vägen. Frånvaron av båda framgångsrika vägar blir inte ett pass med lågt anseende. DKIM inriktning jämför sin signeringsdomän med Author Domain, snarare än att använda SMTP kuvertsändare som dess avgörande jämförelse. Dessa korrigeringar följer RFC 9989 och SPF :s resultatdefinitioner. DMARC -utvärdering och SPF resultat.
Spela in tolkning utan att tyst omskriva policy
En teknisk granskare kan identifiera ett felaktigt exempel utan att göra anspråk på behörighet att ersätta regeringens kontrollavsikt. Behåll två angränsande fält: publicerat krav och föreslagen implementeringstolkning. Länka källtexten, dokumentera grunderna för standarderna och lämna godkännandet öppet. Om ett fält antyder att varje underdomän behöver identiska poster, utvärdera den faktiska domänanvändningen och de relevanta upptäcktsreglerna innan du förbereder en ändring. Den här artikeln tillhandahåller inget körbart DNS recept.
Samma disciplin gäller för rapportering. RFC 9990 beskriver samlad feedback, men rapporter täcker inte nödvändigtvis varje mottagare eller varje meddelande. En bevarad granskningslogg bör registrera rapporteringsfönster, saknade källor och olösta fel. Definiera vem som undersöker en ny avsändare och vem som kan godkänna åtgärdande. En fungerande rapportinstrumentpanel är ett användbart bevis endast när dess indatatäckning, åtkomst och fortsatta ägande också förstås. Aggregat-rapportspecifikation.
Bedöm en fiktiv försenad implementering
Föreställ dig en påhittad byrå med en godkänd migrationsplan men ingen registrerad acceptans för sin leverantör av mötespåminnelser senast i november 2026. Den föreslagna bedömningen skulle identifiera en missad intern bevis-milstolpe, inte tillkännage att byrån inte följer lagarna. Ägaren måste fastställa tillämplig programtid, eventuellt tillåtet undantag, leverantörens identiteter och de tester som fortfarande behövs. Ingen verklig byrå, meddelande eller DNS svar representeras av detta exempel.
Användbara godkännandebevis skulle skilja den offentliga policyn från kontrollerade avsändarobservationer, inställningar för inkommande verkställighet och rapportgranskning. Ett misslyckande inom ett område bör behålla sin egen diagnos. Ett felaktigt DNS exempel är ett specifikationsproblem; en papperslös leverantör är en ägarfråga; saknade meddelandeobservationer är en bevisfråga. Genom att ge dem separata saneringsägare slipper man behandla varje osäkerhet som en anledning att omedelbart gå över till avslag.
Stäng styrningen innan du gör anspråk på färdigställande
En byråacceptanspaket bör innehålla dess omfattningsbeslut, godkänd tolkning av källans oklarheter, kontrollerade observationer, olösta undantag och ansvarsfull sign-off. Anteckna godkännandedatumet separat från ramverkets publiceringsdatum och källhämtningsdatumet. Schemalägg granskning när myndigheters riktlinjer ändras, en e-postplattform migrerar, en rapporttjänst går i pension eller en kritisk leverantör ändrar sina sändningsidentiteter.
Den ursprungliga uppdraget kräver: En auktoritets-till-kontroll-tabell granskad av lämplig regulator eller juridisk specialist. Den medföljande kartan har ingen sådan recension bifogad. Aktuell klausulverifiering, policytillämplighet, godkännande av juridiska ägare och operativa implementeringsbevis förblir olösta, liksom den oberoende kontrollanten, webbplatspresentationen och publiceringsgrindarna. Detta är ett utkast till bedömning av källan med explicita tekniska försiktighetsåtgärder, inte en byrårevision, migreringsutförande eller certifiering.